安全审计打造固若金汤的数据堡垒(一)

众所周知，数据库系统功能强大而丰富，因而，对于一个数据库环境而言，我们可以生成很多类型的审计记录。当然，这并不意味着本文所涉及到的所有审计类型都适合读者你，但是，知道有哪些审计类型以及如何实施这些审计有助于你满足合规需求。

临潭网站建设公司成都创新互联公司,临潭网站设计制作，有大型网站制作公司丰富经验。已为临潭上1000+提供企业网站建设服务。企业网站搭建\外贸网站建设要多少钱，请找那个售后服务好的临潭做网站的公司定做！

要实施完善的数据库审计，必须理解的一个关键问题是需求，从而知道可以使用哪些审计类型来满足自己的需求。本文可作为你实施数据库审计的一个参考。

审计数据库的登入和登出

在你要进入一家公司会晤某人的时候，一般需要在前台进行登记。这样做可确保公司完整的记录进入公司的任何人，在出现问题时，或在追踪和调查“这事儿是谁干的？”时，这种登录很有用处。这种日志通常会记录来客是谁、何时进入、何时离开。同样的过程也适用于数据库，多数环境中所需要的首要审计就是完整的记录哪些人曾登入过数据库。

对于这类审计，你需要记录两类事件：登入事件和登出事件。对于每一个事件，你都需要保存登录名和时间，但你还应该考虑记录附加信息。这包括发起连接的客户端的IP地址，以及用于初始化连接的程序。例如，在Oracle环境中，你可能想知道该连接是否由SQL Plus等初始化。

除了这两类事件，你还应当记录所有失败的登录企图。事实上，从安全的观点来看，失败的登录事件甚至可能比成功的登录更重要。记录失败的登录企图不仅是为了审计和合规目的，而且可作为警告和停用某个账户的基础。

虽然你可将这三类事件放在同样的文件或表格中，但你可能会以不同的方式进行报告。成功的登录和登出报告不是多数人愿意关注的问题，除非要进行某种调查，因为这些日志反映了正常的操作。除此之外，还有一种例外情况，即比较不同时期的文件，看其是不是发生了改变。然而，过多的失败登录肯定是一个令人感兴趣的安全报告，而且许多人会根据如下这几个方面定期地查看这些失败的登录企图：

用户名

连接失败的客户端IP地址

源程序

时间和日期

 例如，图一展示了两个视图，这两个视图根据两个方面进行了分类总结，一是根据登录名（上图的左侧），二是根据显示失败登录的详细视图的报告（包括登录名、源IP地址、连接到哪个数据库服务器、通信类型）。

可使用数据库的特性或使用外部的数据库安全方案来审计登入和登出活动。所有的数据库厂商都支持这种基本的审计功能，而且因为这些事件的数量是很小的（至少在与审计实际的SQL调用时所得到的事件数量相比时是这样的），所以数据库在执行这种审计时所遭受的性能损失很少。

正如在插入或更新时，Oracle触发器会启动一样，系统级触发器会针对特定的系统事件（如登入、登出和DDL执行）而执行。下面看一下如何实施这种审计：

首先，创建一个你用来保存这种信息的表：

下一步，创建一个在发生新登入时可执行的触发器：

 #p#

多数数据在用户登入时被记载，但在用户登出时，需要用触发器来记载其登出日期和时间，代码如下：

在Oracle环境中这样做就可以了。如果你运行的是Sybase环境，问题就更简单了，因为你可以用下面的命令审计对所有数据库的所有访问：

根据失败的登录来实施警告或账户锁定这种功能，需要得到数据库厂商或数据库安全解决方案的支持。如果使用数据库来生成登录和登出的审计，并且你的数据库厂商可以实施账户锁定功能，那么，你可以在数据库环境中实现这一点。例如，你可能知道如何建立Oracle的口令策略。在另外一种环境中（如SQL server 2000），你就无法使用本地数据库特性来完成此功能，而需要编写代码来检查Windows的事件日志，查找失败的登录，或者使用一个外部的安全系统来实现。

在使用外部安全系统时，你可以使用SQL防火墙来阻止经过一定数量的失败登入企图后，某个登录名的任何连接。在这种情形中，数据库并不会收到连接企图，因为这种连接企图会在防火墙水平上被拒绝。另外一个选择（该选择并不要求你将安全系统置于数据库之前）是使用数据库过程，如图二所示。在这种情形中，失败的登录次数超过某个上限后，审计系统就会生成一次审计。该审计被发送给一个负责连接到数据库的系统，并且调用一个过程来锁定账户。该系统一般还会通知数据库管理员，告知已经采取了该行动，以便于进行调查，并且在必要时可以释放被锁定的账户。

除了可用于创建审计线索，登录信息可用于创建一种可以帮助管理员确认异常的基准。用户登录活动的基准是“正常”登录行为的反映。这种基准是通过着眼于在某段时间（例如，一个月）的所有登录活动而构建的。通过将所有的可能性进行组合，对其分类而建立基准。例如，你可以根据网络位置、用户名、源程序、时间和日期来对登录进行分类，此时的基准可能会类似于下面这个样子：

这个基准表明，根据相对记录期中所观察到的所有登录活动，user1总是从192.168.1.168（例如这是一台应用程序服务器），并且是24小时持续地连接。User2用于从Excel连接到数据库，它用于192.168子网中的多个网络节点中，不能用于正常上班时间之外。***，在从isql发起访问时，就会用到user3，它可以在周末从10.10.10子网的任何节点上工作。

有了这种基准，管理员就可以对背离正常操作的行为做出报告或发出警告。例如，如果你看到有人使用user1成功登录，但其IP地址却不同于192.168.1.168，而且所使用的工具却是SQL Navigator之类的工具，可以断定，要么你的环境发生了变化，要么是某人成功地获得了应用程序服务器的用户名和口令，并用这些信息从数据库析取信息。再举一个例子，使用user2在午夜2点的一次登录就非常可疑。当然，这可能表明某个人工作得很晚，但根据具体环境、敏感性等，你可能需要深入地调查此事。

【编辑推荐】

1. 安全审计打造固若金汤的数据堡垒(二)
2. 安全审计打造固若金汤的数据堡垒(三) 
3. 电信行业数据库安全审计解决方案
4. 电力行业数据库系统安全审计解决方案
5. 交警支队数据库安全审计解决方案

网站题目：安全审计打造固若金汤的数据堡垒(一)
文章起源：http://www.stwzsj.com/qtweb/news46/14296.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联